CVE-2026-34197 ActiveMQ Classic Lab

Этот репозиторий содержит локальный лабораторный стенд для изучения CVE-2026-34197 в Apache ActiveMQ Classic, а также для сравнения уязвимого экземпляра с исправленной сборкой.

Репозиторий организован для достижения двух целей:

• Воспроизвести проблему в строго контролируемой изолированной среде.
• Проверить поведение после устранения уязвимости с помощью исправленной сборки ActiveMQ Classic.

Дисклеймер

Этот репозиторий предоставляется строго для законных, авторизованных, защитных исследований безопасности в изолированных лабораторных средах, которые принадлежат вам или на тестирование которых у вас есть явное разрешение.

Используя любые материалы из этого репозитория, вы соглашаетесь с тем, что:

• Вы не будете использовать их против сторонних систем, публичных целей, сред заказчиков, общей инфраструктуры или любых систем без явного письменного разрешения.
• Вы не будете использовать их для несанкционированного доступа, закрепления, нарушения работы, горизонтального перемещения, доступа к данным или любых действий, нарушающих закон, политику, контракт или требования допустимого использования.
• Вы понимаете, что исследования безопасности с использованием proof-of-concept могут привести к прерыванию работы сервисов, падению процессов, повреждению данных, компрометации контейнеров, получению доступа к оболочке и непреднамеренному распространению при неосторожном обращении.
• Вы несёте единоличную ответственность за соблюдение всех применимых законов, нормативных требований, контрактов и внутренних политик.
• Вы будете запускать это только в одноразовых лабораторных системах с соответствующей сетевой изоляцией, мониторингом и возможностью отката.

Этот репозиторий не предназначен для наступательных операций. Он предназначен только для валидации, обучения, разработки средств обнаружения, проверки исправлений и контролируемой демонстрации.

Если вы не уверены, что уполномочены запускать этот материал, не запускайте его.

Область применения

Эта лаборатория сосредоточена на поведении Apache ActiveMQ Classic в контексте CVE-2026-34197:

• Уязвимый контейнер на основе apache/activemq-classic:5.19.2
• Исправленный контейнер, собранный локально из ActiveMQ Classic 5.19.4
• Простой XML-файл с полезной нагрузкой, используемый для валидации в лабораторной среде
• Заметки для проверки ожидаемого поведения уязвимой и исправленной версий

Структура репозитория

.
├── activemq-patched
│   ├── docker-compose.yml
│   ├── Dockerfile
│   ├── instructions.txt
│   └── poc.xml
├── docker-compose.yml
├── instructions.txt
└── poc.xml

Уязвимая лаборатория

В корне этого репозитория находится уязвимая лаборатория:

• docker-compose.yml запускает контейнер ActiveMQ Classic 5.19.2 с веб-консолью и Jolokia, доступными на localhost.
• instructions.txt содержит порядок действий для локальной лабораторной среды, используемый для проверки уязвимого поведения.
• poc.xml — это шаблон XML-полезной нагрузки, используемый в лабораторной среде.

Типичные открытые порты в уязвимом compose-файле:

• 8161 — веб-консоль / Jolokia
• 61616 — OpenWire
• 61613 — STOMP
• 1883 — MQTT
• 5672 — AMQP

Запуск уязвимой лаборатории:

docker compose up -d

Исправленная лаборатория

Каталог activemq-patched/ содержит среду для сравнения с исправленной версией:

• Локальная Docker-сборка на основе ActiveMQ Classic 5.19.4
• Dockerfile, который обновляет привязку Jetty, чтобы веб-консоль была доступна с хоста
• Отдельный compose-файл, публикующий исправленный брокер на других портах localhost

Типичные открытые порты в исправленном compose-файле:

• 8261 — веб-консоль / Jolokia
• 62616 — OpenWire

Сборка исправленного образа

Скачайте архивный tarball релиза 5.19.4:

cd activemq-patched
wget https://archive.apache.org/dist/activemq/5.19.4/apache-activemq-5.19.4-bin.tar.gz

Соберите локальный образ:

docker build \
  -t pssec/activemq-classic:5.19.4 \
  --build-arg ACTIVEMQ_VERSION=5.19.4 \
  -f Dockerfile .

Запустите исправленную лабораторию:

docker compose up -d

Рекомендации по валидации

Используйте предоставленные файлы instructions.txt для выполнения лабораторного сценария.

Ожидаемый общий результат:

• Уязвимая среда должна допускать небезопасный путь коннектора в рамках лабораторного сценария.
• Исправленная среда должна отклонять небезопасную схему на основе VM и возвращать ошибку, похожую на VM scheme is not allowed.

Рекомендуемая неразрушающая валидация

В реальном внутреннем тесте предпочтительнее использовать безопасную, наблюдаемую, неразрушающую команду вместо любых инвазивных действий.

Простой пример — создание временного файла:

touch /tmp/pssec_validation_marker

Затем проверьте результат с хоста:

docker exec -it cve-2026-34197-activemq ls -l /tmp/pssec_validation_marker

Для исправленной среды аналогичная проверка должна завершиться неудачей при создании файла, если исправление работает должным образом.

Это безопаснее, чем использование интерактивной полезной нагрузки, и обычно достаточно, чтобы доказать:

• доступен ли уязвимый путь по-прежнему, или
• блокирует ли исправленный брокер опасное поведение коннектора.

Примечания

• По возможности ограничивайте лабораторный стенд адресом 127.0.0.1.
• Используйте одноразовые контейнеры и изолированные сети.
• Сбрасывайте или пересобирайте контейнеры между тестовыми запусками.
• Просматривайте журналы контейнеров и ответы Jolokia в рамках валидации.
• При внутренней проверке предпочитайте неразрушающие проверки на основе файлов интерактивным оболочкам.

О компании

PSsec: https://pssec.io